В течение последнего года специалисты по кибербезопасности неоднократно предупреждали мировую судоходную отрасль о необходимости усиления киберзащиты после серии краж грузов, связанных с деятельностью хакеров. Исследователи выявили сложные атаки на логистические компании, в результате которых преступники перенаправляли крупные партии товаров клиентов, что свидетельствует о тревожном сотрудничестве между хакерами и организованными преступными группировками.
Компания Bluspark Global, базирующаяся в Нью-Йорке, которая разрабатывает платформу для управления перевозками и цепочками поставок Bluvoyix, оказалась в центре скандала после обнаружения ряда уязвимостей в её системах безопасности. Bluvoyix используется сотнями крупных компаний по всему миру для транспортировки и отслеживания грузов.
В течение нескольких месяцев Bluspark исправляла пять серьезных ошибок, включая использование открытых текстом паролей сотрудниками и клиентами, а также возможность удаленного доступа к системе без надлежащей аутентификации. Эти уязвимости позволяли злоумышленникам получить доступ к полной информации о перевозках и учетным записям клиентов, хранящейся за последние десятилетия.
Исследователь безопасности, обнаруживший уязвимости в октябре, столкнулся с трудностями при попытке уведомить компанию из-за отсутствия контактных данных. В итоге, после многочисленных попыток связаться, он был вынужден привлечь к проблеме СМИ.
Обнаруженные баги включали возможность использования API без проверки подлинности, что открывало доступ к спискам пользователей, их паролям в открытом виде и даже созданию новых учетных записей с правами администратора. Это позволяло потенциальным злоумышленникам получить полный контроль над платформой и данными клиентов.
После вмешательства и предъявления доказательств компания оперативно устранила большинство уязвимостей и планирует внедрить программу по приему сообщений о проблемах безопасности от внешних исследователей. Представители Bluspark заявили, что на данный момент нет признаков того, что данные клиентов пострадали вследствие выявленных уязвимостей.
Случай с Bluspark ярко демонстрирует серьезность проблемы отсутствия эффективных каналов связи между компаниями и исследователями безопасности, что затрудняет своевременное устранение угроз и повышает риск утечек и атак.
